Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,C:\Recycled\Recycled.exeЎЎ'
- [<HKLM>\SOFTWARE\Classes\.exeЎЎ\shell\open\command] '' = '"%1" %*'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '%WINDIR%\userinit.exe,<SYSTEM32>\userinit.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\lanmanserver] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Service] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Создает и запускает на исполнение:
- %TEMP%\2a1b5.tmp %WINDIR%\system.exe
- C:\Recycled\rundll32.exe
- C:\autorun.inf\rundll32.exe
- %WINDIR%\system.exe
- C:\Recycled\Recycled.exeЎЎ
Запускает на исполнение:
- <SYSTEM32>\tasklist.exe /v
- <SYSTEM32>\systeminfo.exe
- <SYSTEM32>\sc.exe config lanmanserver start= auto
- <SYSTEM32>\net1.exe user
- <SYSTEM32>\reg.exe import <SYSTEM32>\system.reg
- <SYSTEM32>\attrib.exe +s +h +r E:\Recycled.exe
- <SYSTEM32>\ipconfig.exe /all
- <SYSTEM32>\attrib.exe +s +h +r %WINDIR%\Fonts\counts.ttf
- <SYSTEM32>\net1.exe start server
- <SYSTEM32>\attrib.exe +s +h <SYSTEM32>\shell32.vbe
- <SYSTEM32>\find.exe /i "Reply from"
- <SYSTEM32>\regsvr32.exe /s /u gpedit.dll
- <SYSTEM32>\wscript.exe "<SYSTEM32>\shell32.vbe"
- <SYSTEM32>\net1.exe start
- <SYSTEM32>\net1.exe share
- <SYSTEM32>\ping.exe -n 1 "CRNJEUFU"
- <SYSTEM32>\netstat.exe -an
- <SYSTEM32>\regini.exe c:\temp.txt
- <SYSTEM32>\attrib.exe +s +h +r C:\"<Служебное имя>"
- <SYSTEM32>\attrib.exe +s +h +r C:\"Far2"
- <SYSTEM32>\attrib.exe +s +h +r C:\"RECYCLER"
- <SYSTEM32>\attrib.exe +s +h +r C:\"Program Files"
- <SYSTEM32>\attrib.exe +s +h %TEMP%\????.cmd
- %WINDIR%\explorer.exe <Имя вируса>
- <SYSTEM32>\attrib.exe +s +h +r C:\"Documents and Settings"
- <SYSTEM32>\attrib.exe +s +h +r C:\"af32d3b0"
- <SYSTEM32>\attrib.exe +s +h +r C:\"System Volume Information"
- <SYSTEM32>\attrib.exe +s +h +r C:\Recycled.exe
- <SYSTEM32>\attrib.exe +s +h +r C:\RECYCLER.exe
- <SYSTEM32>\attrib.exe +s +h +r E:\RECYCLER.exe
- <SYSTEM32>\attrib.exe +s +h +r E:\"System Volume Information.exe"
- <SYSTEM32>\attrib.exe +s +h +r %WINDIR%\userinit.exe
- <SYSTEM32>\attrib.exe +s +h +r C:\"WINDOWS"
- <SYSTEM32>\attrib.exe +s +h +r C:\"System Volume Information.exe"
- <SYSTEM32>\reg.exe import <SYSTEM32>\server.reg
Скрывает следующие процессы:
- C:\autorun.inf\rundll32.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\system.reg
- C:\autorun.inf\desktop.ini
- C:\temp.txt
- C:\autorun.inf\SpiderNt.exeЎЎ
- C:\Recycled\ОДјюГвТЯ.\AQ
- C:\autorun.inf\ОДјюГвТЯ.\AQ
- C:\Recycled\krnln.fne
- C:\Recycled\internet.fne
- C:\Recycled\xplib.fne
- C:\Recycled\dp1.fne
- C:\Recycled\eAPI.fne
- C:\Recycled\krnln.fnr
- %WINDIR%\QQ.exeЎЎ
- %TEMP%\2a1b5.tmp
- %TEMP%\29fff.tmp
- <SYSTEM32>\system
- <SYSTEM32>\perfa0804.dat
- <SYSTEM32>\shell32.vbe
- C:\Recycled\rundll32.exe
- C:\Recycled\Recycled.exeЎЎ
- C:\Recycled\Recycledbk.exeЎЎ
- C:\Recycled\SpiderNt.exeЎЎ
- C:\autorun.inf\rundll32.exe
- %WINDIR%\Fonts\counts.ttf
- %WINDIR%\cheak_hook.dll
- C:\RECYCLER.exe
- %PROGRAM_FILES%.exe
- C:\<Служебное имя>.exe
- %WINDIR%.exe
- C:\System Volume Information.exe
- <Служебный элемент>
- <LS_APPDATA>\system.exe
- <LS_APPDATA>\userinit.EXE
- %TEMP%\~1.cmd
- C:\Far2.exe
- C:\Documents and Settings.exe
- <Текущая директория>.exe
- %WINDIR%\GDIPFONTCACHEV1.DAT
- C:\PZAQ.ini
- C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\desktop.ini
- %TEMP%\E_4\eAPI.fne
- C:\Recycled\shellEx.fne
- C:\Recycled\iext5.fne
- C:\Recycled\desktop.ini
- %WINDIR%\inf\usbinst.PNF
- %WINDIR%\userinit.EXE
- %WINDIR%\system.exe
- %TEMP%\E_4\dp1.fne
- %TEMP%\E_4\krnln.fnr
- <SYSTEM32>\server.reg
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\autorun.inf\ОДјюГвТЯ.\AQ
- C:\autorun.inf\desktop.ini
- C:\Recycled\ОДјюГвТЯ.\AQ
- <SYSTEM32>\shell32.vbe
- %WINDIR%\Fonts\counts.ttf
- %WINDIR%\userinit.EXE
- %TEMP%\~1.cmd
- C:\System Volume Information.exe
- C:\Recycled\desktop.ini
- C:\RECYCLER.exe
Удаляет следующие файлы:
- %TEMP%\~1.cmd
- <SYSTEM32>\system
- <LS_APPDATA>\system.exe
- <LS_APPDATA>\userinit.EXE
- <SYSTEM32>\shell32.vbe
- C:\temp.txt
- <SYSTEM32>\server.reg
- %WINDIR%\system.exe
- <SYSTEM32>\system.reg
Сетевая активность:
Подключается к:
- 'sm##.126.com':25
- 'localhost':8820
UDP:
- DNS ASK sm##.126.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
